security-avs/cve-2019-13633Proof of concept per una vulnerabilità XSS cieca/persistente nell'helpdesk Blinger.io, che dimostra l'esecuzione remota di codice nei pannelli di amministrazione tramite messaggi appositamente predisposti.
[Descrizione suggerita]: Blinger.io v.1.0.2519 è vulnerabile a XSS cieco/persistente.
[Informazioni aggiuntive]: Blinger.io è una piattaforma utilizzata da clienti globali come FxPro, Alfa Bank, OneTwoTrip, Ivi, KupiVIP Group, Belavia, Wargaming, Yandex, OZON, TCS Group Holding e altri. Eseguire questo attacco consente ai criminali di raccogliere informazioni critiche sui clienti delle aziende prese di mira e diventa il punto di base per molti altri vettori di attacco. Un attaccante può inviare codice JavaScript arbitrario tramite i canali di comunicazione integrati, come Telegram, WhatsApp, Viber, Skype, Facebook e così via. Il codice viene eseguito all'interno dei seguenti pannelli:
[Tipo di vulnerabilità]: Cross Site Scripting (XSS)
[Fornitore del prodotto]: https://blinger.io/
Una lettera è stata inviata al fornitore riguardo alla vulnerabilità. La vulnerabilità è stata confermata dal fornitore.
[Componente interessato]:
https://app.blinger.io/conversations/all
https://app.blinger.io/conversations/inbox
https://app.blinger.io/conversations/unassigned
https://app.blinger.io/conversations/closed
[Base del codice del prodotto interessato]: Blinger Omnichannel helpdesk per assistenza clienti e vendite - v.1.0.2519
[Tipo di attacco]: Remoto
[Impatto Denial of Service]: Falso
[Impatto divulgazione di informazioni]: Vero
[Vettori di attacco]:
L'attaccante invia codice JavaScript dannoso tramite i canali di comunicazione integrati nella pagina web del cliente. Il codice JavaScript trasmesso verrà eseguito nel pannello di amministrazione del servizio Help Desk, consentendo all'attaccante di rubare il cookie di sessione, eseguire un attacco di phishing, raccogliere informazioni critiche sui clienti, ecc.
: Alexander Semenko, Luka Safonov.
:
Esecuzione di codice dannoso e riflesso in :
